A Rust nyelven írt webkeretrendszer szerzője törölte miután súlyos kritikát kapott a Rust nyelv "helytelen használatáért". Az actix-web keretrendszer, amelyből több mint 800 ezer letöltés történt, lehetővé teszi HTTP-szerver és kliens funkcionalitás beágyazását Rust alkalmazásokba, fejlesztése során maximális teljesítményre összpontosít és sok webkeretrendszer tesztjében.
Nem sokkal az incidens előtt a GitHub issue-jában jelentették be, hogy az actix-web szerver kódjában meghatározatlan viselkedést (Undefined Behaviour) fedeztek fel, amely akkor fordul elő, amikor (megengedi a mutatókkal végzett nem biztonságos műveleteket). Az actix-web szerzője nem távolította el az unsafe blokkot, de módosította a blokk hívását, hogy elkerülje a meghatározatlan viselkedést. Az unsafe eltávolítására tett javaslatokat elutasította, hivatkozva a teljesítmény csökkenésére, és azt állította, hogy nem használ unsfe-t szükségtelenül, és biztos a biztonságos működési blokkjainak biztonságában.
A RustSec csapatának tagja, aki a meghatározatlan viselkedést felfedezte, nem értett egyet ezzel, és azt javasolta, hogy az actix-web számára ellenségesek a sok unsafe blokk alkalmazásai. Ezt követően publikált
egy cikket az unsafe használatának elfogadhatatlanságáról, amelyben többek között említette, hogy az actix-web-ben használt mutatószerek kezelési mód (több módosítható mutató ugyanarra az adatra) potenciálisan use-after-free sebezhetőségekhez vezethet, és nem felel meg a Rust fejlesztési paradigmájának.
Után a cikkről a , a GitHub issue-jában trollok és az actix-web szerzőjének törölte a tárolót és A Mozilla 70 embert bocsát el, és átszervezést végez
Forrás: opennet.ru
